🇰🇷 한글 설명
Zegen <= 1.1.9 버전의 PHP Local File Inclusion(LFI) 취약점으로, include/require 문에서 파일명이 부적절하게 검증되어 공격자가 임의의 파일을 로드할 수 있습니다. 이를 통해 /etc/passwd, wp-config.php 등 민감한 파일 접근으로 정보 유출 및 코드 실행이 가능합니다.
💡 쉬운 설명
Zegen 플러그인의 오류로 공격자가 웹사이트 내부의 숨겨진 파일들을 읽을 수 있습니다. 데이터베이스 암호, API 키 등 중요한 정보가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in zozothemes Zegen zegen allows PHP Local File Inclusion.This issue affects Zegen: from n/a through <= 1.1.9.
📍 영향받는 시스템
zozothemes Zegen <= 1.1.9 (WordPress plugin/theme)
⚔️ 공격 벡터
조작된 URL 파라미터(예: ?file=../../../../etc/passwd)를 통해 include/require 함수가 의도하지 않은 파일을 로드하도록 유도
🛡️ 대응 방법
Zegen을 1.1.10 이상으로 즉시 업데이트하거나, 임시로 플러그인 비활성화/삭제
🔧 검증 코드
표시된 버전이 1.1.9 이하면 취약점 존재, 1.1.10 이상이거나 출력 없으면 플러그인 미설치 또는 패치 완료
grep -i 'version' /var/www/html/wp-content/plugins/zegen/zegen.php 2>/dev/null | head -1 || cat /var/www/html/wp-content/plugins/zegen/readme.txt 2>/dev/null | grep -i 'stable tag'